功能介绍

如果您需要针对企业中的不同员工设置不同的访问权限，以达到不同员工之间的权限隔离，可以使用自定义权限策略进行精细的权限管理。

您可以使用主账号给员工创建IAM用户，并授权控制他们对资源的访问范围。默认情况下，账号创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略及绑定范围，才能使得用户组中的用户获得对应的权限。授权后，用户就可以基于被授予的权限进行操作。

创建自定义权限策略

目前支持以下两种方式创建自定义策略：

• 可视化视图：通过可视化视图创建自定义策略，无需了解JSON语法，按可视化视图导航栏选择云服务、操作、资源、条件等策略内容，可自动生成策略。

• JSON视图：通过JSON视图创建自定义策略，可以直接在编辑框内编写JSON格式的策略内容。

可视化视图配置自定义策略

1. 管理员登录IAM控制台。

2. 点击左侧导航窗格的“策略管理”，点击策略管理页面的“创建自定义策略”按钮，进入创建自定义策略页面。

3. 输入策略名称、策略描述等基本信息后，点击“下一步”。

4. 选择“可视化视图”。

5. 效果：选择“允许”或“拒绝”。

6. 云服务：选择需要进行权限控制的云服务，如CDN加速。当且仅支持选择一个云服务，如需配置多个云服务的自定义策略，请在完成此条配置后，单击“添加权限”，创建多个服务的授权语句；或使用JSON视图配置自定义策略。

7. 选择“操作”，根据需求勾选产品权限。

8. （可选）配置特定资源，如选择“特定资源”，可以根据目前权限的关联资源路径模板，通过单击“添加资源”来指定需要授权的资源。支持为特定资源授权的云服务在资源选择中可以选择特定资源，否则代表当前服务不支持资源路径配置。

9. （可选）添加条件，单击“添加条件”，选择“条件键”，选择“运算符”，根据运算符类型填写相应的值。

10. （可选）在“策略配置方式”选择JSON视图，将可视化视图配置的策略内容转换为JSON语句进行检视和编辑，您可以在JSON视图中对策略内容进行修改。如果您修改后的JSON语句有语法错误，将无法创建策略，可以根据提示信息自行检查和修改内容。此外，如果将JSON语句重新转换到可视化视图时失败，一般是由于Statement下包含有多个不同云服务的Action，和可视化的映射规则不符合，这种情况不会影响策略的正常创建。

11. （可选）如需创建多个云服务的权限，请单击“添加权限”。

12. 单击“确定”，完成自定义策略的创建。

JSON视图配置自定义策略

1. 管理员登录IAM控制台。

2. 点击左侧导航窗格的“策略管理”，点击策略管理页面的“创建自定义策略”按钮，进入创建自定义策略页面。

3. 输入策略名称、策略描述等基本信息后，点击”下一步“。

4. 选择“JSON视图”

5. （可选）在“策略内容”区域，单击“从已有策略复制”，例如选择“cdn admin”作为模板。可同时选择多个服务的策略，但这些策略的作用范围必须一致，即都是全局级服务或者资源池级服务。如果需要同时设置全局服务和资源池级服务的自定义策略，请创建两条自定义策略，便于授权时设置最小授权范围。

6. 修改模板中策略授权语句。您可以参考策略语法，完成策略JSON语句的编写。

   1. 作用（Effect）：允许（Allow）和拒绝（Deny）。

   2. 权限集（Action）：写入各服务API授权项列表中“授权项”中的内容，例如："ctcdn:domainManage:domainViewList"，来实现细粒度授权。

   3. 自定义策略版本号（Version）：固定为1.1，不可修改。

7. 单击“确定”后，系统会自动校验语法，如跳转到策略列表，则自定义策略创建成功；如提示“策略内容错误”、“JSON格式有误”，请按照策略JSON语法规范进行修改。

配置示例

示例1：配置【域名管理】所有权限的自定义策略

```json
{
    "Version": "1.1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ctcdn:domainManage:domainViewList",
                "ctcdn:domainManage:domainView",
                "ctcdn:domainManage:domainSingleCreate",
                "ctcdn:domainManage:domainBatchCreate",
                "ctcdn:domainManage:domainSingleModify",
                "ctcdn:domainManage:domainBatchModify",
                "ctcdn:domainManage:domainStop",
                "ctcdn:domainManage:domainStart",
                "ctcdn:domainManage:domainDelete",
                "ctcdn:domainManage:domainLabelCreate"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}
```

示例2：配置【CDN加速用量】所有权限的自定义策略配置

```json
{
    "Version": "1.1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ctcdn:statisticAnalysis:cdnUsageBandwidthFlow",
                "ctcdn:statisticAnalysis:cdnUsageMissBandwidthFlow",
                "ctcdn:statisticAnalysis:cdnUsageRequest",
                "ctcdn:statisticAnalysis:cdnUsageHitRate",
                "ctcdn:statisticAnalysis:cdnUsageStatusCode",
                "ctcdn:statisticAnalysis:cdnUsageMissStatusCode",
                "ctcdn:statisticAnalysis:cdnUsagePvUv",
                "ctcdn:statisticAnalysis:cdnUsageAreaIsp",
                "ctcdn:statisticAnalysis:cdnTopUrl",
                "ctcdn:statisticAnalysis:cdnTopMissUrl",
                "ctcdn:statisticAnalysis:cdnTopReferer",
                "ctcdn:statisticAnalysis:cdnTopDomain",
                "ctcdn:statisticAnalysis:cdnTopIp",
                "ctcdn:statisticAnalysis:cdnUser"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}
```

控制台自定义权限策略表：